CN104796305A - 一种安全审计的方法及装置 - Google Patents

Abstract

本发明提供了一种安全审计的方法及装置，该方法包括：预先设置用于保存比对特征的训练集；S1：获取虚机的网络流量信息；S2：对所述网络流量信息进行特征提取，得到待审计特征；S3：将所述待审计特征与所述训练集中的所述比对特征进行匹配，获得与所述待审计特征相匹配的匹配比对特征，根据所述匹配比对特征确定所述网络流量信息是否正常。通过本发明提供的一种安全审计的方法及装置，能够对虚机进行安全审计。

Description

一种安全审计的方法及装置

技术领域

本发明涉及计算机技术领域，特别涉及一种安全审计的方法及装置。

背景技术

云计算具有资源池化、虚拟化、高可靠性及高可用性等特点，将多个用户集中到一个区域中。随着云计算的崛起，虚机技术也得到了快速发展，在一台物理主机上可能会存在多个虚机。随着虚机的广泛应用，网络结构日益复杂，网络安全问题也越来越受到重视。

传统的网络安全设施对物理主机的外部流量进行监控，通过分析物理主机与外部网络的数据交互情况来确定当前物理主机的安全状态。

通过上述描述可见，现有技术中将物理主机作为一个整体，通过物理主机与外部网络的交互数据来确定整个物理主机的安全状况，而物理主机内部的虚机的安全状况无法审计。

发明内容

有鉴于此，本发明提供了一种安全审计的方法及装置，能够对虚机进行安全审计。

一方面，本发明提供了一种安全审计的方法，包括：预先设置用于保存比对特征的训练集；

S1：获取虚机的网络流量信息；

S2：对所述网络流量信息进行特征提取，得到待审计特征；

S3：将所述待审计特征与所述训练集中的所述比对特征进行匹配，获得与所述待审计特征相匹配的匹配比对特征，根据所述匹配比对特征确定所述网络流量信息是否正常。

进一步地，在所述S1之前，还包括：预先设置开放虚拟交换组件OpenvSwitch组件；

所述S1，包括：通过所述Open vSwitch组件获取虚机的网络流量信息。

进一步地，所述通过所述Open vSwitch组件获取虚机的网络流量信息，包括：

通过所述Open vSwitch组件对经过所述Open vSwitch组件的网络流量进行镜像，根据镜像得到的网络流量，获得所述网络流量信息。

进一步地，在所述S1之前，还包括：预先设置数据采集规则，其中，所述数据采集规则包括：采集频率、采集源地址、采集目的地址中的一个或多个；

当所述数据采集规则包括所述采集频率时，所述S1，包括：根据所述采集频率获取所述网络流量信息；

当所述数据采集规则包括所述采集源地址时，所述S1，包括：获取所述采集源地址发出的网络流量对应的网络流量信息；

当所述数据采集规则包括所述采集目的地址时，所述S1，包括：获取所述采集目的地址接收的网络流量对应的网络流量信息。

进一步地，还包括：通过获取的网络流量信息对所述训练集进行维护，将所述网络流量信息对应的待审计特征作为所述训练集中的比对特征添加到所述训练集中；

和/或，

还包括：

获取系统日志、防火墙日志，根据所述系统日志、所述防火墙日志获取所述网络流量信息对应的每个数据包的信息。

另一方面，本发明提供了一种安全审计的装置，包括：

第一设置单元，用于设置用于保存比对特征的训练集；

获取单元，用于获取虚机的网络流量信息；

特征提取单元，用于对所述网络流量信息进行特征提取，得到待审计特征；

审计单元，用于将所述待审计特征与所述训练集中的所述比对特征进行匹配，获得与所述待审计特征相匹配的匹配比对特征，根据所述匹配比对特征确定所述网络流量信息是否正常。

进一步地，还包括：

第二设置单元，用于设置开放虚拟交换组件Open vSwitch组件；

所述获取单元，用于通过所述Open vSwitch组件获取虚机的网络流量信息。

进一步地，所述获取单元，用于通过所述Open vSwitch组件对经过所述Open vSwitch组件的网络流量进行镜像，根据镜像得到的网络流量，获得所述网络流量信息。

进一步地，还包括：第三设置单元，用于设置数据采集规则，其中，所述数据采集规则包括：采集频率、采集源地址、采集目的地址中的一个或多个；

所述获取单元，用于当所述数据采集规则包括所述采集频率时，根据所述采集频率获取所述网络流量信息，当所述数据采集规则包括所述采集源地址时，获取所述采集源地址发出的网络流量对应的网络流量信息，当所述数据采集规则包括所述采集目的地址时，获取所述采集目的地址接收的网络流量对应的网络流量信息。

进一步地，还包括：维护单元，用于通过获取的网络流量信息对所述训练集进行维护，将所述网络流量信息对应的待审计特征作为所述训练集中的比对特征添加到所述训练集中；

和/或，

还包括：日志单元，用于获取系统日志、防火墙日志，根据所述系统日志、所述防火墙日志获取所述网络流量信息中每个数据包的信息。

本发明提供了一种安全审计的方法及装置，获取虚机的网络流量信息，提取网络流量信息的特征，得到待审计特征，将待审计特征与预先设置的比对特征进行匹配，根据相匹配的匹配比对特征确定网络流量信息是否正常，进而确定虚机是否安全，通过对虚机的网络流量信息的获取和匹配，实现对虚机的安全审计。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明一实施例提供的一种安全审计的方法的流程图；

图2是本发明一实施例提供的另一种安全审计的方法的流程图；

图3是本发明一实施例提供的一种安全审计的装置的示意图；

图4是本发明一实施例提供的另一种安全审计的装置的示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例，基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

如图1所示，本发明实施例提供了一种安全审计的方法，该方法可以包括以下步骤：

S0：预先设置用于保存比对特征的训练集；

S1：获取虚机的网络流量信息；

S2：对所述网络流量信息进行特征提取，得到待审计特征；

S3：将所述待审计特征与所述训练集中的所述比对特征进行匹配，获得与所述待审计特征相匹配的匹配比对特征，根据所述匹配比对特征确定所述网络流量信息是否正常。

通过本发明实施例提供的一种安全审计的方法，获取虚机的网络流量信息，提取网络流量信息的特征，得到待审计特征，将待审计特征与预先设置的比对特征进行匹配，根据相匹配的匹配比对特征确定网络流量信息是否正常，进而确定虚机是否安全，通过对虚机的网络流量信息的获取和匹配，实现对虚机的安全审计。

虚机之间的数据交换可以通过Open vSwitch组件来实现，进而可以通过Open vSwitch组件来获取虚机的网络流量信息。在一种可能的实现方式中，还包括：预先设置Open vSwitch组件(开放虚拟交换组件)；

所述S1，包括：通过所述Open vSwitch组件获取虚机的网络流量信息。

在获取网络流量信息时，可以直接获取网络流量，即直接获取虚机交换的数据包，而直接通过Open vSwitch组件获取虚机交换的数据包可能会造成数据包无法到达对应的目的地址，导致数据传输失败，为避免这种情况，可以通过Open vSwitch组件镜像网络流量，能够在不影响数据包正常传输的情况下，获得网络流量信息。具体地，所述通过所述Open vSwitch组件获取虚机的网络流量信息，包括：

通过所述Open vSwitch组件对经过所述Open vSwitch组件的网络流量进行镜像，根据镜像得到的网络流量，获得所述网络流量信息。

为了能够灵活的对虚机进行重点监测，可以预先设置数据采集规则来优化获取网络流量信息的过程。在一种可能的实现方式中，在所述S1之前，还包括：预先设置数据采集规则，其中，所述数据采集规则包括：采集频率、采集源地址、采集目的地址中的一个或多个；

当所述数据采集规则包括所述采集频率时，所述S1，包括：根据所述采集频率获取所述网络流量信息；

当所述数据采集规则包括所述采集源地址时，所述S1，包括：获取所述采集源地址发出的网络流量对应的网络流量信息；

当所述数据采集规则包括所述采集目的地址时，所述S1，包括：获取所述采集目的地址接收的网络流量对应的网络流量信息。

在该实现方式中，通过设置采集频率来优化获取网络流量信息的速率，通过设置采集源地址和采集目的地址来对重点的网络流量进行监控，减少了安全设计过程中数据传输的数量、提高了安全审计过程的速度。举例来说，在一台物理主机中可能同时存在多个虚机，而为了测量其中的某一个虚机，可以通过设置采集源地址、采集目的地址，将采集的网络流量信息定位在该虚机上，减少了数据的采集量和传输量，并减少了不必要的数据，提高了安全设计的准确性。

为了能够使训练集更加全面，在一种可能的实现方式中，该方法还包括：通过获取的网络流量信息对所述训练集进行维护，将所述网络流量信息对应的待审计特征作为所述训练集中的比对特征添加到所述训练集中。

为了能够确定当前网络流量信息异常的原因，需要获取网络流量信息对应的每个数据包的信息，通过这些信息能够确定数据包的源地址、目的地址、携带的数据等，进而便于找到网络流量信息异常的原因。在一种可能的实现方式中，该方法还包括：

获取系统日志、防火墙日志，根据所述系统日志、所述防火墙日志获取所述网络流量信息对应的每个数据包的信息。

为使本发明的目的、技术方案和优点更加清楚，下面结合附图及具体实施例对本发明作进一步地详细描述。

如图2所示，本发明实施例提供了一种安全审计的方法，该方法可以包括以下步骤：

步骤201：预先设置用于保存比对特征的训练集，预先设置Open vSwitch组件。

举例来说，在训练集中预先设置了10个比对特征，每个比对特征中携带有一段时间内的网络流量的信息，例如：比对特征A中携带有如下信息：在9-10点之间，虚机A在这段时间内正常的数据量的大小为1G-2G之间。

步骤202：通过所述Open vSwitch组件对经过所述Open vSwitch组件的虚机A的网络流量进行镜像，根据镜像得到的虚机A的网络流量，获得虚机A的网络流量信息。

举例来说，通过Open vSwitch组件获取与虚机A进行交互的数据包，根据这些数据包得到对应的网络流量信息，例如：数据包的大小、数据包的源地址、数据包的目的地址、数据包中携带的信息等。

步骤203：对虚机A的网络流量信息进行特征提取，得到待审计特征A。

举例来说，提取网络流量信息中的数据量大小作为待审计特征，具体地，可以提取在9-10点之间，虚机A的数据量大小。

步骤204：将所述待审计特征A与训练集中的所有比对特征进行匹配，获得与所述待审计特征相匹配的比对特征A，根据所述比对特征A确定所述网络流量信息是否正常。

举例来说，通过待审计特征得到虚机A在9-10点之间，数据量的大小为1.5G，将该待审计特征与训练集中的所有比对特征进行匹配，虚机A在9-10点之间的数据量大小在比对特征A的范围内，所述该待审计特征与比对特征相匹配，比对特征对应虚机A正常，所述通过该待审计特征可以确定在9-10点之间，虚机A的网络流量信息正常，进而确定虚机A安全。

需要说明的是：上述的网络流量信息包括：虚机与虚机之间的网络流量信息、虚机与外部网络之间的网络流量信息。

匹配过程可以通过遗传算法进行全局寻优来实现，而且可以通过遗传算法来生成训练集，并根据当前的网络流量信息对训练集进行维护。

需要说明的是：该方法的步骤S1可以通过采集客户端来实现，该客户端可以按照在虚机所在的物理主机上，步骤S2，可以通过采集服务器来实现，采集客户端将获取的网络流量信息发送给采集服务器，步骤S3，可以通过审计中心设备来实现，采集服务器将待审计特征发送给审计中心。

在一种可能的实现方式中，上述客户端包括：Open vSwitch组件，步骤通过所述Open vSwitch组件对经过所述Open vSwitch组件的网络流量进行镜像，根据镜像得到的网络流量，获得所述网络流量信息，包括：

通过所述Open vSwitch组件将经过所述Open vSwitch组件的网络流量镜像到采集服务器上。

如图3、图4所示，本发明实施例提供了一种安全审计的装置。装置实施例可以通过软件实现，也可以通过硬件或者软硬件结合的方式实现。从硬件层面而言，如图3所示，为本发明实施例提供的一种安全审计的装置所在设备的一种硬件结构图，除了图3所示的处理器、内存、网络接口、以及非易失性存储器之外，实施例中装置所在的设备通常还可以包括其他硬件，如负责处理报文的转发芯片等等。以软件实现为例，如图4所示，作为一个逻辑意义上的装置，是通过其所在设备的CPU将非易失性存储器中对应的计算机程序指令读取到内存中运行形成的。本实施例提供的一种安全审计的装置，包括：

第一设置单元401，用于设置用于保存比对特征的训练集；

获取单元402，用于获取虚机的网络流量信息；

特征提取单元403，用于对所述网络流量信息进行特征提取，得到待审计特征；

审计单元404，用于将所述待审计特征与所述训练集中的所述比对特征进行匹配，获得与所述待审计特征相匹配的匹配比对特征，根据所述匹配比对特征确定所述网络流量信息是否正常。

在一种可能的实现方式中，该装置还包括：

第二设置单元，用于设置Open vSwitch组件；

所述获取单元402，用于通过所述Open vSwitch组件获取虚机的网络流量信息。

具体地，所述获取单元402，用于通过所述Open vSwitch组件对经过所述Open vSwitch组件的网络流量进行镜像，根据镜像得到的网络流量，获得所述网络流量信息。

在一种可能的实现方式中，该装置还包括：第三设置单元，用于设置数据采集规则，其中，所述数据采集规则包括：采集频率、采集源地址、采集目的地址中的一个或多个；

所述获取单元402，用于当所述数据采集规则包括所述采集频率时，根据所述采集频率获取所述网络流量信息，当所述数据采集规则包括所述采集源地址时，获取所述采集源地址发出的网络流量对应的网络流量信息，当所述数据采集规则包括所述采集目的地址时，获取所述采集目的地址接收的网络流量对应的网络流量信息。

在一种可能的实现方式中，该装置还包括：维护单元，用于通过获取的网络流量信息对所述训练集进行维护，将所述网络流量信息对应的待审计特征作为所述训练集中的比对特征添加到所述训练集中；

在一种可能的实现方式中，该装置还包括：日志单元，用于获取系统日志、防火墙日志，根据所述系统日志、所述防火墙日志获取所述网络流量信息中每个数据包的信息。

需要说明的是：上述的方法及装置，可以在Xen平台下实现。

通过本发明实施例提供的一种安全审计的方法及装置，具有如下有益效果：

1、通过本发明实施例提供的一种安全审计的方法及装置，获取虚机的网络流量信息，提取网络流量信息的特征，得到待审计特征，将待审计特征与预先设置的比对特征进行匹配，根据相匹配的匹配比对特征确定网络流量信息是否正常，进而确定虚机是否安全，通过对虚机的网络流量信息的获取和匹配，实现对虚机的安全审计。

2、通过本发明实施例提供的一种安全审计的方法及装置，通过设置采集频率来优化获取网络流量信息的速率，通过设置采集源地址和采集目的地址来对重点的网络流量进行监控，减少了安全设计过程中数据传输的数量、提高了安全审计过程的速度。在一台物理主机中可能同时存在多个虚机，而为了测量其中的某一个虚机，可以通过设置采集源地址、采集目的地址，将采集的网络流量信息定位在该虚机上，减少了数据的采集量和传输量，并减少了不必要的数据，提高了安全设计的准确性。

上述装置内的各单元之间的信息交互、执行过程等内容，由于与本发明方法实施例基于同一构思，具体内容可参见本发明方法实施例中的叙述，此处不再赘述。

需要说明的是，在本文中，诸如第一和第二之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个······”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同因素。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储在计算机可读取的存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质中。

最后需要说明的是：以上所述仅为本发明的较佳实施例，仅用于说明本发明的技术方案，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所做的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

Claims (10)

1.一种安全审计的方法，其特征在于，包括：预先设置用于保存比对特征的训练集，还包括：

S1：获取虚机的网络流量信息；

S2：对所述网络流量信息进行特征提取，得到待审计特征；

S3：将所述待审计特征与所述训练集中的所述比对特征进行匹配，获得与所述待审计特征相匹配的匹配比对特征，根据所述匹配比对特征确定所述网络流量信息是否正常。

2.根据权利要求1所述的方法，其特征在于，在所述S1之前，还包括：预先设置开放虚拟交换组件Open vSwitch组件；

所述S1，包括：通过所述Open vSwitch组件获取虚机的网络流量信息。

3.根据权利要求2所述的方法，其特征在于，所述通过所述Open vSwitch组件获取虚机的网络流量信息，包括：

通过所述Open vSwitch组件对经过所述Open vSwitch组件的网络流量进行镜像，根据镜像得到的网络流量，获得所述网络流量信息。

4.根据权利要求1所述的方法，其特征在于，在所述S1之前，还包括：预先设置数据采集规则，其中，所述数据采集规则包括：采集频率、采集源地址、采集目的地址中的一个或多个；

当所述数据采集规则包括所述采集频率时，所述S1，包括：根据所述采集频率获取所述网络流量信息；

当所述数据采集规则包括所述采集源地址时，所述S1，包括：获取所述采集源地址发出的网络流量对应的网络流量信息；

当所述数据采集规则包括所述采集目的地址时，所述S1，包括：获取所述采集目的地址接收的网络流量对应的网络流量信息。

5.根据权利要求1所述的方法，其特征在于，还包括：通过获取的网络流量信息对所述训练集进行维护，将所述网络流量信息对应的待审计特征作为所述训练集中的比对特征添加到所述训练集中；

和/或，

还包括：

获取系统日志、防火墙日志，根据所述系统日志、所述防火墙日志获取所述网络流量信息对应的每个数据包的信息。

6.一种安全审计的装置，其特征在于，包括：

第一设置单元，用于设置用于保存比对特征的训练集；

获取单元，用于获取虚机的网络流量信息；

特征提取单元，用于对所述网络流量信息进行特征提取，得到待审计特征；

审计单元，用于将所述待审计特征与所述训练集中的所述比对特征进行匹配，获得与所述待审计特征相匹配的匹配比对特征，根据所述匹配比对特征确定所述网络流量信息是否正常。

7.根据权利要求6所述的装置，其特征在于，还包括：

第二设置单元，用于设置开放虚拟交换组件Open vSwitch组件；

所述获取单元，用于通过所述Open vSwitch组件获取虚机的网络流量信息。

8.根据权利要求7所述的装置，其特征在于，

所述获取单元，用于通过所述Open vSwitch组件对经过所述OpenvSwitch组件的网络流量进行镜像，根据镜像得到的网络流量，获得所述网络流量信息。

9.根据权利要求6所述的装置，其特征在于，还包括：第三设置单元，用于设置数据采集规则，其中，所述数据采集规则包括：采集频率、采集源地址、采集目的地址中的一个或多个；

所述获取单元，用于当所述数据采集规则包括所述采集频率时，根据所述采集频率获取所述网络流量信息，当所述数据采集规则包括所述采集源地址时，获取所述采集源地址发出的网络流量对应的网络流量信息，当所述数据采集规则包括所述采集目的地址时，获取所述采集目的地址接收的网络流量对应的网络流量信息。

10.根据权利要求6所述的装置，其特征在于，还包括：维护单元，用于通过获取的网络流量信息对所述训练集进行维护，将所述网络流量信息对应的待审计特征作为所述训练集中的比对特征添加到所述训练集中；

和/或，

还包括：日志单元，用于获取系统日志、防火墙日志，根据所述系统日志、所述防火墙日志获取所述网络流量信息中每个数据包的信息。